Propojte potřebu ochrany a riziko

Potřeba ochrany popisuje dopad, riziko popisuje scénáře

Potřeba ochrany odpovídá na otázku, jak závažná by byla škoda na cílovém aktivu nebo procesu. Analýza rizik k tomuto pohledu přidává hrozby, zranitelnosti, pravděpodobnosti a ochranná opatření.

Když obě linie práce zůstávají oddělené, vznikají mezery. Cílové aktivum může mít vysokou potřebu ochrany, aniž by byla prioritizována relevantní rizika. Naopak rozhodnutí o riziku může být obtížné vysvětlit, pokud jeho potřeba ochrany není jasně zdokumentována.

Společný model omezuje rozpory

Týmy by měly rozhodnutí o potřebě ochrany propojit přímo s cílovými aktivy, daty, procesy a závislostmi. Analýza rizik pak může na této struktuře stavět a vysvětlovat rozhodnutí o ochranných opatřeních.

Společný model je zvlášť užitečný v diskusích s obchodními týmy: dopad na důvěrnost, integritu a dostupnost je viditelný dříve, než se začne debatovat o jednotlivých ochranných opatřeních.

• Vysvětlete potřebu ochrany pro každé cílové aktivum a bezpečnostní cíl
• Sledujte rizika zpět k dotčeným cílovým aktivům
• Propojte rozhodnutí o ochranných opatřeních s potřebou ochrany a zbytkovým rizikem

Na čem při auditu záleží nejvíce

Auditoři hledají konzistentní rozhodnutí: proč bylo cílové aktivum klasifikováno jako vysoké? Jaká ochranná opatření z toho vyplývají? Která rizika zůstávají otevřená? Kdo rozhodnutí schválil?

Dobré ISMS dokáže na tyto otázky odpovědět bez samostatného vyšetřování. To vyžaduje, aby potřeba ochrany, analýza rizik, stav ochranných opatření a důkazy sdílely jeden pracovní kontext.